技术摘要：预训练、冻结，但仍在泄露

1. 问题陈述

本文针对 EEG 基础模型（EEG-FMs，如 BIOT、LaBraM 和 EEGPT）隐私审计中的一个关键空白进行了研究。目前的隐私评估通常针对单一端点评估发布的嵌入（中间表示），即：原始波形重建、成员推理、身份关联或下游任务头的差分隐私（DP）。

作者认为，这些单端点审计是不充分的。一个发布的嵌入可能无法支持高保真度的原始波形重建，或者表现出较弱的成员推理信号，但仍可能保留与受试者状态相关的可解码频谱属性（例如，中心化的功率谱密度结构）。此外，身份关联的结果经常被误解；在“同受试者”设置下的强身份恢复并不意味着对于“留出”（held-out）受试者（即不在训练集或参考集中的受试者）也存在恢复能力。核心问题在于缺乏一个联合审计框架，该框架能同时评估所有四个端点，以确定发布决策是否安全，特别是侧重于频谱属性是否在不同的编码器和数据集之间发生泄露。

2. 方法论

本文提出了一种分控制表示隐私审计，强制要求每一项隐私声明都必须通过特定的证伪控制。

2.1 威胁模型

• 受害者： 发布嵌入（而非原始波形）的 EEG-FM 服务提供商。
• 攻击者： 拥有一个影子 EEG 窗口集，并能从发布的嵌入中训练出针对频谱属性的解码器。对于身份关联，攻击者拥有一个候选受试者的参考集。
• 目标：
  1. 属性恢复： 从嵌入中推断频谱属性（中心化 PSD）。
  2. 参考集关联： 将一个嵌入分配给已知参考集中的受试者。
  3. 隐私审计： 测试防御措施（噪声、瓶颈、DP）是否能在不破坏效用的情况下减少泄露。

2.2 审计协议与控制

审计在四个标准端点下评估嵌入，但应用了严格的分控制以防止过度声明：

• 原始副本检查（Raw-Copy Check）： 验证相邻窗口是否为近乎重复的副本（余弦相似度 $\ge$ 0.99）。
• 时间间隔拆分（Temporal-Gap Split）： 通过时间将窗口分离，以排除相邻窗口的人为伪影。
• 受试者不相交拆分（Subject-Disjoint Split）： 确保训练集和测试集的受试者不重叠。这是针对留出受试者属性泄露的关键控制。在此设置下不进行身份关联声明，因为不存在候选身份。
• 参考集身份（Reference-Set Identity）： 仅当候选受试者存在于攻击者的参考集中时，才评估身份关联（BPID@1）。
• 负向控制（Negative Controls）： 每个泄露结果都会与随机高斯嵌入和拆分局部置换嵌入进行比较，以建立基准线。

2.3 理论框架

作者引入了跨编码器桥接定理（Cross-Encoder Bridge Theorem）和审计端点差异得分（AEDS）：

• 桥接可迁移性： 他们证明，如果两个编码器共享一个非平凡的属性坐标投影重叠（$\beta$），那么在一个冻结编码器上训练的岭属性解码器，可以通过拟合的线性桥接，迁移到另一个编码器的留出受试者拆分集上。其增益下界推导为 $\sqrt{\beta/(1 + \tau^2_t)} - \epsilon_{br} - \rho_0$。
• AEDS： 一个决策规则，定义为 $AEDS = L_A - \max(R_M, R_I)$，其中 $L_A$ 是属性泄露增益，$R_M$ 是成员推理残差，$R_I$ 是身份关联残差。正的 AEDS 表示属性泄露是决定性的风险因素，即使其他端点看起来是安全的。

2.4 防御评估

审计测试了标准防御措施：

• 高斯噪声： 添加到嵌入中。
• 瓶颈与 Dropout： 维度缩减和坐标移除。
• DP-SGD： 对下游任务头进行差分隐私微调，包括逐样本裁剪和 RDP 计数。
• 自适应攻击者： 一种基于维纳（Wiener）风格的噪声感知攻击者，根据已知的噪声水平对嵌入进行预白化处理。

3. 关键结果

3.1 频谱属性泄露

在八个评估设置中（在 EEGMMI 上的 BIOT、LaBraM、EEGPT；以及在 Sleep-EDF、LIMO、CHB-MIT 上的 LaBraM），频谱属性从嵌入中是持续可恢复的。

• 受试者不相交泄露： 在所有受试者不相交的拆分中，中心化 PSD 增益相对于匹配的负向控制始终显著为正（95% 置信区间下界范围为 0.157 至 0.487）。
• 跨编码器迁移： 在一个编码器（如 BIOT）上训练的单个岭回归解码器，通过线性桥接成功迁移到了其他编码器（LaBraM、EEGPT）的留出受试者拆分中。估计的投影重叠 $\beta$ 在 $[0.008, 0.198]$ 之间。
• 部署相关性： 在一项 Sleep-EDF 睡眠阶段分类任务中，攻击者在留出受试者上的准确率达到了 70.4%，显著优于控制组，即使存在高斯噪声（$\sigma=1.0$）。

3.2 身份关联范围

• 参考集关联： 仅当攻击者的参考集中包含候选受试者（同受试者或重叠拆分）时，才会观察到强身份关联（BPID@1 高达 0.950）。
• 留出受试者： 不对受试者不相交拆分进行身份恢复声明。论文明确区分了“参考集关联”（可能的）与“留出身份恢复”（未证实的）。

3.3 端点差异 (AEDS)

• 单端点失效： 标准审计（原始复制、成员推理、参考集身份）通常判定发布通过。例如，成员推理 AUC 较低（0.50–0.70），且原始重建结果为负。
• 联合审计失败： 在所有八个受试者不相交的匹配置信区间单元中，AEDS 均为正值（$p < 0.001$）。这意味着，即使成员推理和身份端点显示安全，属性泄露信号也足以阻止发布决策。

3.4 防御失效

• 噪声与 DP： 标准的高斯噪声和针对下游任务头的 DP-SGD 未能在保持效用的同时关闭属性通道。
  • 在保持效用的 $\epsilon \in \{4, 8\}$ 范围内，属性增益与非隐私基准相比在统计上仍无显著差异。
  • 仅在 $\epsilon=1$ 时，属性增益才下降，但此时任务效用也随之崩溃（平衡准确率跌破操作阈值）。
• 自适应攻击： 噪声感知的自适应攻击者（维纳风格）虽然提高了性能，但并未关闭隐私通道；属性通道依然开放。
• 瓶颈/Dropout： 这些变换虽然略微降低了身份关联，但仍使属性泄露保持为正。

4. 意义与主张

本文对 EEG-FM 嵌入的隐私提出了一个有范围限制的否定性主张：

1. 嵌入并非频谱属性的隐私边界： 来自 BIOT、LaBraM 和 EEGPT 的发布的嵌入会向留出受试者泄露可解码的频谱属性（中心化 PSD），即使原始波形重建和成员推理较弱。
2. 单端点审计是不充分的： 仅依赖原始重建、成员推理或身份关联会导致假阳性（发布了不安全的嵌入）。本文提出了 AEDS 框架来检测这种差异。
3. 目前的防御手段无效： 标准防御（噪声、DP、瓶颈）无法在测试的范畴内同时保持效用并消除属性泄露。
4. 身份主张必须限定范围： 强身份结果仅在参考集设置（已注册用户）下有效，不能推导至留出受试者。

作者承认的局限性：

• 研究结果基于特定的数据集（EEGMMI、Sleep-EDF、LIMO、CHB-MIT）和模型；并未声称具有针对所有临床 EEG 数据的群体层面泛化性。
• 理论结果（定理 1-5）是充分条件陈述和程式化模型，而非特定编码器的拟合参数。
• 训练噪声实验是代理实验，不构成正式的 DP 保证。

结论： 本文得出结论，仅仅因为 EEG-FM 嵌入不是原始波形，就不能将其视为去标识化的数据。在发布此类表示之前，需要一个优先考虑属性泄露并具备拆分控制主张边界的联合审计框架。